Katalog podatności CVE

Podatność na deserializację niezaufanych danych w My Geo Posts Free od Mindstien Technologies umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji My Geo Posts Free od n/a do 1.2 włącznie.

Podatność na deserializację niezaufanych danych w NIX Anti-Spam Light umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji NIX Anti-Spam Light od n/a do 0.0.4 włącznie.

W podatności CVE-2024-52431 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Pressaholic WordPress Video Robot - The Ultimate Video Importer. Problem ten dotyczy wersji od n/a do 1.20.0.

Podatność na deserializację niezaufanych danych w wtyczce Lis Video Gallery umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 0.2.1 włącznie.

Podatność CVE-2024-52429 dotyczy wtyczki WP Quick Setup w wersjach od n/a do 2.0, która umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach. W wyniku tego atakujący może przesłać powłokę sieciową na serwer WWW.

W podatności CVE-2024-52428 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Ads Booster by Ads Pro w wersjach od n/a do 1.12.

Podatność CVE-2024-52427 dotyczy deserializacji niezaufanych danych w Vollstart Event Tickets z funkcją skanera biletów, co umożliwia wstrzyknięcie Server Side Include (SSI). Problem ten dotyczy wersji Event Tickets z funkcją skanera biletów od n/a do 2.3.11 włącznie.

W platformie RSA NetWitness (NW) przed wersją 12.5.1, nawet po odebraniu dostępu konkretnego użytkownika z aktywną sesją przez administratora, wewnętrzny aktor zagrożenia mógł podszyć się pod tego użytkownika i uzyskać nieautoryzowany dostęp do wrażliwych danych.

Podatność CVE-2024-8781 dotyczy platformy zabezpieczeń aplikacji TR7, która ma niewłaściwą ochronę alternatywnych ścieżek. Umożliwia to eskalację uprawnień oraz nadużycie uprawnień przez nieautoryzowanych użytkowników.

W systemie AbsysNet w wersji 2.3.1 odkryto podatność typu IDOR (Insecure Direct Object Reference). Umożliwia ona zdalnemu atakującemu uzyskanie sesji nieautoryzowanego użytkownika poprzez atak brute-force na identyfikator sesji w punkcie końcowym '/cgi-bin/ocap/'.

W podatności CVE-2024-3370 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w szablonie strony internetowej Egebilgi Software. Problem dotyczy szablonu strony internetowej przed datą 29.04.2024.

Podatność CVE-2024-11319 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w django CMS, co pozwala na ataki typu Cross-Site Scripting (XSS). Problem ten występuje w wersjach django-cms: 3.11.7, 3.11.8, 4.1.2 oraz 4.1.3.

Podatność na nieprawidłową neutralizację separatorów w serwerze WWW Cesanta Mongoose w wersji 7.14 pozwala na wywołanie nieskończonej pętli, jeśli ciąg wejściowy zawiera nieoczekiwane znaki.

Podatność na użycie wskaźnika poza zakresem w serwerze WWW Cesanta Mongoose w wersji 7.14 pozwala atakującemu wysłać nieoczekiwany pakiet TLS i zmusić aplikację do odczytu nieprzeznaczonej pamięci sterty.

Podatność użycia wskaźnika poza zakresem w Cesanta Mongoose Web Server v7.14. Atakujący może wysłać nieoczekiwany pakiet TLS, powodując błąd segmentacji aplikacji.

Podatność na nieprawidłową neutralizację separatorów w serwerze WWW Cesanta Mongoose w wersji 7.14 pozwala na wywołanie zapisu poza granicami pamięci, jeśli certyfikat PEM zawiera nieoczekiwane znaki.

Podatność przepełnienia liczby całkowitej w Cesanta Mongoose Web Server v7.14. Atakujący może wysłać nieoczekiwany pakiet TLS, powodując błąd segmentacji aplikacji.

Atakujący z niskimi uprawnieniami zdalnie może modyfikować właściwości usługi BACNet z powodu nieprawidłowego przypisania uprawnień do krytycznych zasobów, co może prowadzić do ataku typu DoS ograniczonego do komunikacji BACNet.

Atakujący z niskimi uprawnieniami zdalnie może określić dowolny plik w systemie plików, co może prowadzić do zapisu dowolnych plików z uprawnieniami roota.

Atakujący z niskimi uprawnieniami zdalnie może nadpisać dowolny plik w systemie plików, co prowadzi do awarii usługi (DoS) oraz utraty danych.